보안 연구 업체 Accomplish AI가 7월 23일, 맥에서 로컬로 돌아가는 클로드 코워크(Claude Cowork) 세션이 자기 가상 머신(VM)을 빠져나와 맥 전체 파일을 읽고 쓸 수 있는 공격 'SharedRoot'를 공개했어요. 코워크가 호스트 맥의 파일 시스템 전체를 VM 안에 쓰기 가능한 상태로 붙여 두는 구조라, 리눅스 커널 버그(CVE-2026-46331)로 VM 안에서 루트 권한만 얻으면 연결하지 않은 폴더까지 그대로 열리고 SSH 개인키·클라우드 자격 증명·브라우저 데이터에 닿았는데, 폴더 하나를 연결하고 지시 한 줄을 준 것만으로 권한 확인 창 없이 재현됐다고 해요. 앤트로픽은 이 신고를 '참고(Informative)'로 닫고 별도 수정은 내놓지 않았고, 코워크가 7월 7일부터 클라우드 실행을 기본값으로 쓰면서 대부분 사용자는 이 경로에서 비켜났지만 로컬 실행을 고른 쪽은 그대로 남아 있어요.
용어 풀이
- VM
- 가상 머신. 한 컴퓨터 안에 소프트웨어로 만든 또 하나의 독립된 컴퓨터
- SSH
- 원격 서버에 안전하게 접속할 때 쓰는 규약. 개인키가 새면 서버 접속 권한이 통째로 넘어감
- CVE
- 공개된 보안 취약점에 붙이는 국제 공통 식별 번호
운영자 인사이트
에이전트에 로컬 파일을 열어 준 팀이라면 '어떤 폴더를 연결했는가'보다 '샌드박스가 호스트를 어떻게 붙여 두는가'를 먼저 확인해야 해요. 연결 폴더 권한은 앱 계층 규칙일 뿐이라 커널 권한 상승 하나면 통째로 무력화되니, 개발 머신에서는 클라우드 실행을 기본으로 두고 SSH 키·클라우드 자격 증명이 있는 홈 디렉터리는 연결 대상에서 빼는 편이 안전해요.
여러 관점으로 보기
- 원 연구 보고서 권한 없는 사용자 네임스페이스로 시작해 커널 트래픽 제어 모듈을 악용하고, 루트 소유 실행 파일의 페이지 캐시를 오염시켜 VM 안 루트를 얻은 뒤 호스트 전체 마운트로 걸어 나가는 6단계를 공개했어요. Accomplish AI
- 보안 매체 기술 정리 호스트 파일 시스템이 VM 안에 읽기·쓰기로 통째로 마운트돼 있던 설계가 핵심이고, 로컬 세션 사용자 약 50만 명이 영향권에 있었다고 정리했어요. The Hacker News
- 앤트로픽 대응 논란 앤트로픽이 신고를 '참고'로 닫은 이유를 공개 설명하지 않았고, 클라우드 실행 기본값 전환은 이미 7월 7일에 이뤄진 변경이라고 짚었어요. AppleInsider
- 자격 증명 노출 범위 연구진이 '연결한 폴더에서 한참 벗어난 곳까지, 권한 확인 창 하나 없이' 접근했다고 밝혔고 SSH 키와 클라우드 자격 증명이 사정권이었어요. The Next Web
- 앤트로픽 공식 문서 코워크는 원격 실행이 기본이고 로컬 실행은 기존 데스크톱 배포용으로 남아 있으며, 폴더 접근 통제는 앱 계층 권한 체계로만 이뤄진다고 적혀 있어요. Anthropic 지원 문서